INSPIRAÇÃO E AÇÃO: Emulating Shellcodes

Lets check different Cobalt Strike shellcodes and stages in the shellcodes emulator SCEMU.

This stages are fully emulated well and can get the IOC and the behavior of the shellcode.

But lets see another first stage big shellcode with c runtime embedded in a second stage.

In this case is loading tons of API using GetProcAddress at the beginning, then some encode/decode pointer and tls get/set values to store an address. And ends up crashing because is jumping an address that seems more code than address 0x9090f1eb.

Here there are two types of allocations:

Lets spawn a console on -c 3307548 and see if some of this allocations has the next stage.

The "m" command show all the memory maps but the "ma" show only the allocations done by the shellcode.

Dumping memory with "md" we see that there is data, and dissasembling this address with "d" we see the prolog of a function.

So we have second stage unpacked in alloc_e40064

With "mdd" we do a memory dump to disk we found the size in previous screenshot, and we can do some static reversing of stage2 in radare/ghidra/ida

In radare we can verify that the extracted is the next stage:

I usually do correlation between the emulation and ghidra, to understand the algorithms.

If wee look further we can realize that the emulator called a function on the stage2, we can see the change of code base address and is calling the allocated buffer in 0x4f...

And this stage2 perform several API calls let's check it in ghidra.

We can see in the emulator that enters in the IF block, and what are the (*DAT_...)() calls

Before a crash lets continue to the SEH pointer, in this case is the way, and the exception routine checks IsDebuggerPresent() which is not any debugger pressent for sure, so eax = 0;

So lets say yes and continue the emulation.

Both IsDebuggerPresent() and UnHandledExceptionFilter() can be used to detect a debugger, but the emulator return what has to return to not be detected.

Nevertheless the shellcode detects something and terminates the process.

Lets trace the branches to understand the logic:

target/release/scemu -f shellcodes/unsuported_cs.bin -vv | egrep '(\*\*|j|cmp|test)'

Continuing the emulation it's setting the SEH pointer to previous stage:

Lets see from the console where is pointing the SEH chain item:

to be continued ...

https://github.com/sha0coder/scemu

Related links

O MAL EXISTE

Um professor ateu desafiou seus alunos com esta pergunta:
- DEUS fez tudo o que existe?
Um estudante respondeu corajosamente: - Sim, fez! O professor replicou:
- Se Deus fez todas as coisas, então DEUS fez mal, pois o mal existe e considerando-se que nossas ações são um reflexo de nos mesmos, então Deus é mal.
O estudante calou-se diante de tal resposta e o professor, feliz, se vangloriava de haver provado uma vez mais que a fé era uma lenda. Outro estudante levantou a mão e disse:
-Posso lhe fazer uma pergunta professor?
Sem dúvida, respondeu o professor.
-Professor, o frio existe?
-Mas que pergunta é essa? Claro que existe, você por acaso nunca sentiu frio?
O rapaz respondeu:-
-Na verdade, professor, o frio não existe. Segundo as leis da fisica o que consideramos frio, na realidade é ausência de calor.Todo corpo ou objeto pode ser estudado quando tem ou transmite energia, mas é o calor e não o frio que faz com que tal corpo tenha ou não energia.
Perguntou novamente ao professor:
-E a escuridão existe?
O professor respondeu: mas é claro que sim!
O estudante respondeu:
-Novamente o senhor se engana, a escuridão tampouco existe.A escuridão é, na verdade ausencia de luz. Podemos estudar a luz, mas a escuridão não.Um simples raio de luz rasga as trevas e ilumina a superficie que a luz toca.
- Como se faz para determinar quão escuro está um determinado local do espaço? Apenas com base na quantidade de luz presente nesse local, não é mesmo? Escuridão é um termo que o homem criou para descrever o que acontece quando não há luz presente.
- Diga professor, o mal existe?
Ele respondeu :
- Claro que existe. Como eu disse no inicio da aula, vemos roubos, crimes e violência diariamente em todas as partes do mundo, essas coisas são o mal...
Então o estudante respondeu:
- O mal não existe, professor, ou ao menos não existe por si só. O mal é SIMPLESMENTE A AUSENCIA DE DEUS. É como nos casos anteriores, um termo que o homem criou para descrever essa ausencia. Deus não criou o mal.
O mal resulta de que a humanidade não tenha Deus presente em seus corações.
- É como o frio, que surge quando não há calor ou a escuridão que acontece quando não há luz.

Sabedoria

Conta-se que no século passado, um turista americano foi a cidade do Cairo, no Egito, com o objetivo de visitar um famoso sábio.
O turista ficou surpreso ao ver que o sábio morava num quartinho muito simples e cheio de livros. Ás únicas peças de mobilia eram uma cama, uma mesa e um banco.
-Onde estão seus móveis? Perguntou o turista.
E o sábio, bem depressa, perguntou também:
-E onde estão os seus?
- Os meus?! Surpreendeu-se o turista.
- Mas eu estou aqui só de passagem!
- Eu também, concluiu o sábio.
A vida na terra é somente uma passagem.
No entanto, alguns vivem como se fossem ficar aqui eternamente e esquecem de ser felizes.
O valor das coisas não está no tempo em que elas duram, mas na intensidade com que acontecem. Por isso, existem momentos inesquecíveis, coisas inexplicáveis e pessoas incomparáveis.

INSPIRAÇÃO E AÇÃO

segunda-feira, 22 de janeiro de 2024

Emulating Shellcodes - Chapter 2

Nenhum comentário:

Quem sou eu

O MAL EXISTE

Sabedoria